Firebird 3 vadu šifrēšana un VPN ir divas dažādas robežas

VPN pieslēdzas, klients atver sesiju, un visi pieņem, ka datubāzes savienojums ir aizsargāts. Tikko tika sajauktas trīs dažādas lietas. Vai klausītājs vispār ir sasniedzams, vai serveris pieņēma lietotāju un vai Firebird vienojās par vadu šifrēšanu, ir atsevišķi mehānismi ar atsevišķiem pierādījumiem. Tunelis atbild tikai uz pirmo, un tikai tiem avotiem, kurus jūs atļāvāt.

Divas robežas, un tās nepārklājas

VPN robeža aizsargā paketes starp klientu un vārteju. Firebird vadu šifrēšana aizsargā datubāzes protokolu starp klienta bibliotēku un servera procesu. Abas var pastāvēt, un neviena neaizstāj otru.

Ja tunelis beidzas pirms datubāzes resursdatora, trafiku aiz tā aizsargā tikai tas, par ko vienojās datubāzes sesija. Tieši šajā spraugā pārskats parasti atrod pārsteigumu. Tuneļa shēma beidzas pie vārtejas, un savienojums, kas pārvadā jūsu vaicājumu, turpinās tālāk. Ikviens, kas vēlāk lasa šo shēmu, pārmanto šo pieņēmumu.

Pirmā robeža: kas drīkst atvērt klausītāju

Nosakiet īsto servera adresi un konfigurēto portu, kas ir 3050, ja tas nav mainīts, pēc tam resursdatora un tīkla ugunsmūros atļaujiet tikai apstiprinātos VPN avotus. Ņemiet vērā jebkuru adrešu tulkošanu VPN vārtejā un, ja vārteja ir atsevišķa, piešķiriet datubāzes resursdatoram atgriešanās maršrutu uz klientu kopu.

Pēc tam pierādiet noliegumu. Ārējam ceļam, kas jānoraida, jāpaliek noraidītam, jo tuneļa atvēršana pati par sevi neierobežo Firebird klausītāju.

Otrā robeža: par ko Firebird vienojas

Firebird 3 ieviesa vadu šifrēšanas ietvaru ar servera politiku, ko var atspējot, iespējot vai padarīt obligātu. Politika nosaka apakšējo robežu. Faktiskā sesija joprojām ir atkarīga no klienta bibliotēkas, ko ielādē lietojumprogramma, un spraudņiem, ko atbalsta abas puses.

Firebird 3 izlaiduma piezīmēs Arc4 ir norādīts kā šī izlaiduma noklusējuma vadu šifrēšanas spraudnis. Arc4 ir vēsturiska noklusējuma vērtība, nevis mūsdienīga šifra ieteikums, un tas nav tas pats, kas ārējā VPN aizsardzība.

Autentifikācija ir trešais mainīgais tajās pašās sarunās. Serveris pieņem autentifikācijas spraudņu kopu, klienta bibliotēka piedāvā tās apakškopu, un abām ir jāpārklājas.

Legacy_Auth slazds

Lai atbalstītu Legacy_Auth, ir jāatslābina servera noklusējuma obligātās šifrēšanas politika. Tās ir dokumentētās saderības izmaksas, un tāpēc politikas pazemināšana, lai klusinātu savienojuma kļūdu, ir drošības izmaiņas, nevis labojums.

Ja pēc servera jaunināšanas klients pēkšņi sabrūk, pirms kaut ko vājināt salīdziniet spraudņu sarakstus. Neveiksme parasti ir sarunu neatbilstība, un atbilde ir abās pusēs atbalstīts spraudnis.

Pārbaudiet svarīgo savienojumu

Uz būves, kas nodrošina konteksta mainīgo, šis vaicājums ziņo pašreizējā savienojuma šifrēšanas stāvokli:

SELECT RDB$GET_CONTEXT('SYSTEM', 'WIRE_ENCRYPTED')
FROM RDB$DATABASE;

Palaidiet to caur pašas lietojumprogrammas savienojumu, nevis administratora sesiju tajā pašā serverī. Šifrēts administratora savienojums nepasaka neko par citas klienta bibliotēkas sesiju, un vecāka būve, kas neatbalsta mainīgo, nav pierādījums, ka šifrēšana ir izslēgta.

Pierakstiet kopā klienta bibliotēkas versiju, servera būvi un rezultātu, jo neviens no tiem atsevišķi nav nolasāms.

Tiesības un jaunināšanas ceļš

Avotu ierobežošana un transporta šifrēšana neaizstāj autentifikāciju vai minimālo privilēģiju tiesības. Pārbaudiet parastā datubāzes lietotāja atļaujas objektiem, kurus tas patiešām aizskar.

Visbeidzot, izturieties pret ilglaicīgu izvietošanu kā pret apkopes jautājumu. Tunelis nepadara novecojušu klienta bibliotēku drošu bezgalīgi, un atbalstīts jaunināšanas ceļš ir lētāks nekā atklāt, ka nepieciešamais spraudnis ir noņemts.